蓝绿部署ECS服务无法启用EnableExecuteCommand，求解决指引

问题原因 #

采用蓝绿部署（CODE_DEPLOY）的ECS服务受AWS CodeDeploy管控，aws ecs update-service API仅允许修改期望实例数、部署配置、健康检查宽限期、任务放置策略/约束、ECS托管标签、标签传播这类有限配置，任务定义相关的变更必须通过CodeDeploy触发新部署，这是AWS的明确限制。

解决方案步骤 #

1. 更新任务定义，添加ExecuteCommand配置
   EnableExecuteCommand是任务定义中容器级别的配置，需要在containerDefinitions节点下为目标容器添加该属性。修改你的taskdef.json文件：

   {
     "family": "你的任务家族名称",
     "containerDefinitions": [
       {
         "name": "你的容器名称",
         "image": "你的镜像地址",
         ...,
         "enableExecuteCommand": true
       }
     ],
     ...
   }
   

   执行命令注册新版本任务定义：

   aws ecs register-task-definition --cli-input-json file://taskdef.json
   

2. 通过CodeDeploy触发蓝绿部署
   由于蓝绿部署的服务无法直接通过update-service更新任务定义，必须借助CodeDeploy推送新部署。执行以下CLI命令（替换占位符）：

   aws deploy create-deployment \
     --application-name 你的CodeDeploy应用名 \
     --deployment-group-name 你的部署组名 \
     --revision '{
       "revisionType": "S3",
       "s3Location": {
         "bucket": "你的存储桶名",
         "key": "你的appspec配置包.zip",
         "bundleType": "zip"
       }
     }'
   

   也可以直接在AWS控制台的CodeDeploy页面，选择对应应用和部署组，触发新部署并指定刚更新的任务定义版本。

3. 验证权限与网络配置
   确保ECS任务执行角色包含以下SSM相关权限：

   • ssmmessages:CreateControlChannel
   • ssmmessages:CreateDataChannel
   • ssmmessages:OpenControlChannel
   • ssmmessages:OpenDataChannel
     同时，容器所在VPC需允许访问SSM服务（可配置VPC端点避免依赖公网）。

关键说明 #

虽然你觉得创建新部署不合理，但这是AWS蓝绿部署架构的强制要求——CodeDeploy需要全程管控蓝绿版本的切换流程，确保服务高可用。目前没有绕过该限制的方法，必须通过CodeDeploy完成任务定义的更新。

内容的提问来源于stack exchange，提问作者Rafael Ferrato